Un nuevo informe de DomainTools ha destapado una campaña activa que distribuye extensiones de Chrome con funciones aparentemente legítimas, pero que en realidad sirven como puertas traseras para el espionaje y control remoto del navegador. Desde febrero de 2024, se han identificado más de un centenar de dominios maliciosos dedicados a esta operación.

Funcionalidad aparente, comportamiento malicioso

Estas extensiones ofrecen características populares como inteligencia artificial generativa, VPNs, análisis de tráfico web o herramientas para criptomonedas. Sin embargo, al instalarse, activan un comportamiento oculto: comunicación con servidores de mando y control, envío de información del sistema, ejecución de código arbitrario y, en algunos casos, conversión del navegador en un proxy inverso controlado por el atacante.

Los atacantes evaden las revisiones de la Chrome Web Store abusando de permisos peligrosos como declarativeNetRequest, cookies, tabs y scripting, además de aplicar reglas dinámicas tras su instalación para ocultar su comportamiento real.

Infraestructura común y técnicas avanzadas

Todas las extensiones maliciosas identificadas comparten un patrón técnico preocupante:

• Dominios registrados con NameSilo y servidos por Cloudflare, utilizados tanto como señuelos como puntos de comunicación (API).
• Código malicioso ofuscado dentro del archivo background.js, que incluye el dominio C2 incrustado.
• Uso de tokens JWT firmados con HMAC-SHA256, donde la clave secreta es la propia ID de la extensión.
• Transmisión del payload mediante canales WebSocket y codificación Base64.
• Inyección de código JavaScript externo mediante un truco con el evento onreset, una técnica poco común que permite burlar políticas de seguridad CSP.

Ejemplos detectados

Entre las muestras analizadas, destacan extensiones como:

• Manus AI
• FortiVPN Client
• SiteStats

Estas extensiones han sido utilizadas para robar cookies completas, inyectar publicidad no deseada, redirigir tráfico a sitios fraudulentos e incluso establecer conexiones proxy controladas remotamente.

Aunque algunas variantes han sido eliminadas por Google, la campaña continúa activa y evoluciona constantemente, ajustándose para evitar la detección.

Cómo proteger tu navegador

Recomendaciones clave para los usuarios:

• Instalar solo extensiones de desarrolladores verificados.
• Revisar cuidadosamente los permisos solicitados.
• Consultar opiniones y valoraciones antes de instalar.
• Mantener el navegador y el software antivirus actualizados.
• Eliminar extensiones que no se utilicen regularmente.
• Realizar auditorías periódicas de las extensiones instaladas.

Más información:

• Hidden Threats of Dual-Function Malware Found in Chrome Extensions – DomainTools
• Lista de IOCs y dominios relacionados – GitHub